PilotPress WordPress-Plugin: Rechteerweiterung durch Account-Übernahme

Zusammenfassung

Das PilotPress-Plugin für WordPress bis und mit Version 2.0.43 erlaubt authentifizierten Benutzern die Übernahme von WordPress-Administratorkonten. Der AJAX-Handler update_cc_details() benennt den ONTRAPORT-Kontakt des Angreifers auf einen bestehenden Administrator-Login um, bevor die lokale Kollisionsprüfung erfolgt, und die Umbenennung auf der Gegenseite wird nicht zurückgesetzt. Ein späterer Login mit dem Passwort des Angreifers setzt anschliessend das WordPress-Passwort des Administrators und gewährt eine Administrator-Sitzung. Der Angreifer benötigt ein gültiges Konto mit Subscriber-Berechtigung und einen PilotPress/ONTRAPORT-Kontakt.

Betroffen

• PilotPress bis und mit 2.0.43
• Websites mit offener Registrierung oder Mitgliederfunktionen sind am stärksten gefährdet

Behoben in

Unbekannt. Nicht bestätigte Informationen von Drittanbietern nennen 2.0.44 oder neuer; vor einer Verwendung im Changelog auf WordPress.org oder im Wordfence-Advisory prüfen.

Umgehung

• PilotPress deaktivieren, bis eine behobene Version bestätigt ist
• Registrierung mit Subscriber-Berechtigung einschränken und bestehende Subscriber-Konten prüfen
• Zugriff auf AJAX-Endpunkte auf Benutzer mit expliziten Berechtigungen beschränken (Vorschlag eines Drittanbieters, nur als Übergangslösung)
• Zwei-Faktor-Authentifizierung für alle Administratoren erzwingen

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Nicht in CISA KEV aufgeführt
• Kein öffentlicher Proof of Concept gefunden
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden
• Gemeldet von Positive Technologies; NVD-Status ausstehend

Unsere Empfehlung

• Prüfen, ob PilotPress installiert ist und welche Version eingesetzt wird
• Falls ONTRAPORT nicht aktiv genutzt wird, das Plugin entfernen
• Falls es genutzt wird, es deaktivieren oder die Registrierung mit Subscriber-Berechtigung einschränken, bis eine behobene Version bestätigt ist
• Administratorkonten auf unerwartete Passwortänderungen oder neue Admin-Konten prüfen
• 2FA für alle Administratoren erzwingen
• NVD und das Wordfence-Advisory in einigen Tagen erneut prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence advisory www.wordfence.com
• WordPress plugin trac changeset 3737004 plugins.trac.wordpress.org
• PilotPress plugin code 2.0.39 (pilotpress.php, update_cc_details) plugins.trac.wordpress.org
• Positive Technologies advisory PT-2026-115459 (Vulners) vulners.com
• VulDB CVE-2026-85659 vuldb.com
• WordPress.org PilotPress plugin page wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:07.